میگا سیکورٹی کے خدشات کا جواب دیتے ہیں؛ کچھ تبدیلیوں کا وعدہ کیا

نیا آغاز کردہ فائل اسٹوریج اور اشتراک سروس میگا کے نمائندے سائٹ کے فن تعمیر کے بارے میں حالیہ دنوں میں حفاظتی محققین کی جانب سے اٹھائے ہوئے کچھ خدشات کو حل کیا گیا اور اس کی کریٹٹگرافک کی خصوصیات پر عمل درآمد کیا گیا.

انٹرنیٹ اور الزام عائد شدہ ڈیجیٹل نکام کم ڈاٹ کام نے حال ہی میں میگا (میگا خفیہ کردہ گلوبل تک رسائی کے لئے مختصر) شروع کیا، جس میں 50GB کی خصوصیات مفت اسٹوریج. میگا صرف ڈاٹ کام اور ان کی ٹیم کا ایک حصہ ہے جس میں امید میگا لمیٹڈ کے ای میل، صوتی کالنگ، فوری پیغام رسانی اور ویڈیو سٹریمنگ سمیت آن لائن خفیہ کردہ خدمات کا ایک سوٹ ہوگا.

منگل کے شائع کردہ ایک بلاگ پوسٹ میں، میگا حکام نے اعتراف کیا. کچھ سیکورٹی خطرات کی نشاندہی کی جا رہی ہے کہ محققین درست ہیں، لیکن کہا گیا ہے کہ ویب سائٹ کے سوالات (اکثر پوچھے جانے والے سوالات) کے سیکشن کے ذریعہ صارفین کو ان میں سے کچھ کے بارے میں پہلے سے ہی مطلع کیا گیا تھا. دوسرے مسائل کے معاملے میں، انہوں نے کچھ بہتریوں کا وعدہ کیا.

[مزید پڑھنے: آپ کے ونڈوز پی سی سے میلویئر کو کیسے ہٹا دیں]

مثال کے طور پر، یہ اشارہ کیا گیا ہے کہ صارف کی طرف سے سائن ان کردہ خفیہ کاری کی چابیاں- اپ عمل، اور بعد میں ان کی فائلوں کو انکوائری کرنے کے لئے استعمال کیا جاتا ہے، اکاؤنٹ پاس ورڈ کا استعمال کرتے ہوئے خفیہ کر رہے ہیں اور صرف میگا سرورز پر محفوظ ہیں. کچھ لوگوں نے کہا کہ چونکہ پاسورڈ کی بحالی کی کوئی خاصیت نہیں ہے، صارفین کو اپنی فائلوں کو خراب کرنے کی صلاحیت کھو دی جائے گی. کچھ لوگ کہتے ہیں.

"یہ درست ہے- صرف ایک کلید ہے جو صارف کی جانب سے MEGA کو ذخیرہ کرنے کی ضرورت ہے لاگ ان پاس ورڈ، صارف کے دماغ میں، "میگا حکام نے کہا. "یہ پاس ورڈ ماسٹر کلید کو غیر مقفل کرتا ہے جس میں فائل / فولڈر / حصص / نجی چابیاں غیر مقفل ہوتی ہے."

تاہم، ایک میکانزم جو فائلوں کی بحالی کی صورت میں پاس ورڈ بھول جائے تو اس کے قریب قریب میں لاگو کیا جائے گا. ، وہ کہنے لگے. اس میں متعلقہ فائلوں کو دوبارہ بحال کرنے کے لئے پاس ورڈ کو تبدیل کرنے اور پری برآمد شدہ فائل کی چابیاں درآمد کرنے کا اختیار شامل ہوگا.

سیکورٹی محققین نے اس حقیقت کا بھی ذکر کیا کہ ماسٹر خفیہ کاری کی چابیاں ریاضی کے ذریعے سائن اپ پر براؤزر کے اندر پیدا ہوجائے گی. جاوا سکرپٹ جاوا اسکرپٹ فنکشن اور خبردار کیا کہ یہ فنکشن بے ترتیب نمبر پیدا کرنے کا ایک اچھا کام نہیں کرتا، جس کا مطلب یہ ہے کہ نتیجے کی کلیدوں کو کریٹیٹوگرافک نقطہ نظر سے کمزور ہوسکتا ہے.

جواب میں، میگا حکام نے کہا کہ داخلہ - بے ترتیب - صارف کے ماؤس اور کی بورڈ سے جمع کردہ اعداد و شمار کا استعمال کرتے ہوئے شامل کیا جاتا ہے. انہوں نے کہا کہ "اگرچہ، ہم ایک ایسی خاصیت کو شامل کریں گے جو صارف کو زیادہ تر داخلی طور پر ایٹروپی کو شامل کرنے کی اجازت دیتا ہے، کیونکہ وہ کلیدی نسل میں آگے بڑھنے سے قبل فٹ دیکھتا ہے."

میگا نمائندوں نے واضح کیا کہ سائٹ کی جاوا اسکرپٹ کی توثیق کا نظام کس طرح کام کرتا ہے، یہ کہہ رہا ہے کہ HTTPS سرور 2048 بٹ کلید کے ساتھ ایک ایس ایس ایل سرٹیفکیٹ استعمال کرتا ہے جو جاوا اسکرپٹ کوڈ کی صداقت کی توثیق کرنے کے لئے استعمال ہوتا ہے جو ثانوی HTTPS سرورز کی خدمت کرتا ہے جو 1024 بٹ کی چابیاں کے ساتھ سرٹیفکیٹس کا استعمال کرتا ہے. انہوں نے کہا کہ "یہ بنیادی طور پر ہمیں سیکیورٹی کے بارے میں تشویش کے بغیر بہت سے جغرافیای متنوع سروروں پر انتہائی مطمئن حساس جامد مواد کی میزبانی کرنے کے قابل بناتا ہے."

اسٹو تھامس کا ایک محقق، جس نے آن لائن نام "Sc00bz" کے طور پر نامزد کیا ہے. اکاؤنٹ رجسٹریشن کے عمل کے دوران میگا نے بھیجا جانے والی تصدیق شدہ ای میلز میں شامل لنکس میں صارف کا پاسورڈ ہیش پر مشتمل ہے.

تھامس نے میگا کریٹر نامی ایک آلہ جاری کیا جو اس طرح کے لنکس سے ہیک کو نکالنے کے لئے استعمال کیا جا سکتا ہے.

میگا آفیسر کی رہائی پر تبصرہ کرتے ہوئے، میگا حکام نے کہا کہ میگا ریکریکر "قابل قدر یاد دہانی ہے کہ اندازہ / لغت پاس ورڈ استعمال کرنے کے لئے نہیں، خاص طور پر نہیں کہ آپ کا پاس ورڈ ماسٹر انٹریپشن کی کلید کے طور پر بھی ہوتا ہے جو آپ MEGA پر اسٹوریج کرتی ہے. "

تاہم، وہ اس سوال کو حل کرنے میں ناکام رہے ہیں کہ ای میل کے ذریعے بھیجنے والے اکاؤنٹ کی تصدیق کی لنکس پہلی جگہ میں صارف کا پاسورڈ ہیش پر مشتمل ہے. دیگر ویب سائٹس کی طرف سے استعمال ہونے والے عام تکنیک کو خاص طور پر توثیقی لنکس کے لۓ بے ترتیب کوڈ پیدا کرنا ہے.

ممکنہ حملہ آوروں کو بعد میں اپنے پاس ورڈ پاس ورڈ حاصل کرنے سے روکنے کے لۓ، صارفین کو ممکنہ طور پر میگا کی تصدیق کے ای میل کو خارج کرنے کے بعد خارج کردیئے جائیں گے. لنک اور ان کے اکاؤنٹس کو ترتیب دیں.